Alle Deine Fragen zur Datenschutzerklärung

Die Datenschutzerklärung: Hunderte von Fragen, hier findest Du alle Antworten. Und am Ende zeigen wir Dir, wie Du besonders einfach und schnell eine immer aktuelle Datenschutzerklärung erhältst. Direkt zur Lösung? Hier entlang!

von Dr. jur. Ronald Kandelhard, Rechtsanwalt, Fachanwalt für Handels- und Gesellschaftsrecht

 

Inhaltsverzeichnis

• I. Warum brauche ich eine Datenschutzerklärung?
• II. Wer braucht eine Datenschutzerklärung?
  • 1. Braucht jede Website eine Datenschutzerklärung?
  • 2. Braucht eine Under Construction Seite eine Datenschutzerklärung?
  • 3. Braucht eine private Seite eine Datenschutzerklärung?
• III. Brauche ich eine Datenschutzerklärung auf Social Media?
• IV. Wo muss meine Datenschutzerklärung auf der Website hin?
• V. Wie muss die Datenschutzerklärung geschrieben sein?
• VI. Was muss in einer Datenschutzerklärung enthalten sein?
  • 1. Was sagt die Datenschutzgrundverordnung?
  • 2. Welche Konsequenzen hat die DSGVO für Websites?
  • 3. Gibt es eine Checkliste für die Datenschutzerklärung?
  • 4. Welche Angaben müssen in die Datenschutzerklärung?
  • 5. Wie ist die Datenschutzerklärung aufzubauen?
  • 6. Wie verwendet man Muster für die Datenschutzerklärung?
  • 7. Allgemeiner Teil und Besondere Teile
• VII. Was passiert, wenn sich das Recht ändert?
• VIII. Was droht bei falscher Datenschutzerklärung?
  • 1. Kann ich ein Bußgeld von der Datenschutzbehörde bekommen?
  • 2. Kann ich von Nutzern der Website abgemahnt werden?
  • 3. Kann ich von Konkurrenten der Website abgemahnt werden?
  • 4. Streitfrage nicht abschließend entschieden
• IX. Wer erstellt eine Datenschutzerklärung?

I. Warum brauche ich eine Datenschutzerklärung?

Die DSGVO setzt für den Datenschutz vor allem auf eine Information des Nutzers. Er soll immer wissen, welche Daten erhoben und verarbeitet werden. Gleichzeitig will die DSGVO aber auch alle Datenverarbeiter dazu bringen, sich ebenfalls darüber klar zu werden, welche Daten verarbeitet werden.

Deshalb fordert Art. 13 DSGVO, dass jeder Nutzer bei Aufruf der Website darüber informiert wird, welche Daten erhoben werden.

II. Wer braucht eine Datenschutzerklärung?

Eine Datenschutzerklärung ist immer dann erforderlich, wenn personenbezogene des Nutzers verarbeitet werden.

1. Braucht jede Website eine Datenschutzerklärung?

Danach müssen Websites in aller Regel eine Datenschutzerklärung haben. Nach der Rechtsprechung ist auch die IP-Adresse ein personenbezogenes Datum. Diese Daten des Nutzers werden aber von den meisten Websites erhoben.

2. Braucht eine Under Construction Seite eine Datenschutzerklärung?

Daraus ergibt sich, dass auch eine Under Construction oder Coming soon Website eine Datenschutzerklärung brauchen kann. Das ist der Fall, wenn sie personenbezogene Daten verarbeitet. Das ist etwa der Fall, wenn der Hoster die Besucher der Website nach der IP Adresse erfasst. Meist kann man diese Funktion aber ausschalten oder jedenfalls einstellen, dass der Besucher nur anonym erfasst wird. Wenn es dann kein Dateneingabeformular auf der Under Construction Seite gibt, ist eine Datenschutzerklärung nicht erforderlich.

3. Braucht eine private Seite eine Datenschutzerklärung?

Für die Pflicht zur Datenschutzerklärung kommt es nicht darauf an, ob die Website gewerblich oder privat ist. Wenn eine private Seite die IP-Adresse des Nutzers oder sonstige Daten erfasst, braucht auch sie eine Datenschutzerklärung.

III. Brauche ich eine Datenschutzerklärung auf Social Media?

Nach dem neuesten Urteil des EuGH ist für jede Unternehmensseite auf Social Media eine Datenschutzerklärung erforderlich. Näher habe ich das hier ausgeführt.

IV. Wo muss meine Datenschutzerklärung auf der Website hin?

VI. Was muss in einer Datenschutzerklärung enthalten sein?

Die Datenschutzgrundverordnung ist am 25.5.2018 in Kraft getreten. Seit diesem Tag sind die neuen Vorschriften zu beachten. 

1. Was sagt die Datenschutzgrundverordnung?

Vielfach kann man lesen, dass die Datenschutzgrundverordnung keine neuen Anforderungen für das deutsche Recht bringt. Daran ist richtig, dass Deutschland bereits bisher recht strenge Vorschriften für den Datenschutz hatte. Richtig ist aber auch, dass diese oft ignoriert wurden.

Genau diese Missachtung will die DSGVO jetzt aber ändern. Sie enthält wesentlich strengere Anforderungen an die Umsetzung und drastisch erhöhte Strafen und Rechtsfolgen. Damit ist nicht nur das Bußgeld gemeint, auf das immer gern verwiesen wird, sondern der in der Praxis sicher oft viel problematischere Schadensersatzanspruch des Art. 82 DSGVO. Danach kann jede Beschwerde eines Kunden mit einem Anspruch auf Erstattung von Anwaltskosten verbunden sein.

Art. 13 DSGVO erfordert dabei folgende Informationen:

1. den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters;
2. gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten;
3. die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung;
4. wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe f beruht, die berechtigten Interessen, die von dem Verantwortlichen oder einem Dritten verfolgt werden;
5. gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten und
6. gegebenenfalls die Absicht des Verantwortlichen, die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln, sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission oder im Falle von Übermittlungen aufgrund interner Garantien einen Verweis auf die geeigneten oder angemessenen Garantien und die Möglichkeit, wie eine Kopie von ihnen zu erhalten ist, oder wo sie verfügbar sind
7. die Dauer, für die die personenbezogenen Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer;
8. das Bestehen eines Rechts auf Auskunft seitens des Verantwortlichen über die betreffenden personenbezogenen Daten sowie auf Berichtigung oder Löschung oder auf Einschränkung der Verarbeitung oder eines Widerspruchsrechts gegen die Verarbeitung sowie des Rechts auf Datenübertragbarkeit;
9. wenn die Verarbeitung auf Artikel 6 Absatz 1 Buchstabe a oder Artikel 9 Absatz 2 Buchstabe a beruht, das Bestehen eines Rechts, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung berührt wird;
10. das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde;
11. ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen, und welche mögliche Folgen die Nichtbereitstellung hätte und
12. das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Artikel 22 Absätze 1 und 4 und – zumindest in diesen Fällen – aussagekräftige Informationen über die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen einer derartigen Verarbeitung für die betroffene Person.
13. Beabsichtigt der Verantwortliche, die personenbezogenen Daten für einen anderen Zweck weiterzuverarbeiten als den, für den die personenbezogenen Daten erhoben wurden, so stellt er der betroffenen Person vor dieser Weiterverarbeitung Informationen über diesen anderen Zweck und alle anderen maßgeblichen Informationen gemäß Absatz 2 zur Verfügung.“
14. 1.  

Insgesamt ist für die Datenschutzerklärung mit allen Informationen gem. Art. 13 DSGVO der tatsächliche Datenflusses auf der Webseite abzubilden. Damit sind Informationen zu den selbst erhobenen Daten ebenso erforderlich wie zu Cookies und Daten, die von Dritten erhoben oder an diese weitergegeben werden.

2. Welche Konsequenzen hat die DSGVO für Websites?

Für kleinere Websites ist die wesentliche Konsequenz aus der Datenschutzgrundverordnung denn auch, dass vor allem die Rechtsgrundsätze umzusetzen sind, die ohnehin bereits gelten. Dafür gibt es die Kurse von www.easyRechtssicher.de.

Eine dieser Konsequenzen ist die Verschlüsselung von allen Seiten, auf denen Daten eingegeben werden können. Es gibt aber auch versteckte Neuerungen, etwa, wenn man Kommentare verwendet. Hier speichert WordPress etatmäßig die IP des Kommentators. Das ist nur zulässig, wenn damit rechtswidrige Kommentare (beleidigend, rassistisch, ehrverletzend oder urheberrechtlich problematisch) verhindert werden sollen. Doch auch dann ist die Speicherung nur für kurze Dauer zulässig.

3. Gibt es eine Checkliste für die Datenschutzerklärung?

Die DSGVO bringt aber vor allem auch Neuerungen für die Datenschutzerklärung. Hier gilt wie vorher, dass alle und jede Art von Datenverarbeitung oder Sendung von Daten angegeben werden muss. Nach der Datenschutzgrundverordnung sind aber noch mehr Angaben zu machen als vorher.

Hierfür haben wir Dir nachfolgend unsere Checkliste abgedruckt:

Was Du angeben musst:

 

	Für alle Websites	Informationspflichten
	1.	Name des Verantwortlichen (Betreiber der Website) ggf. seines Vertreters (also bei Gesellschaften Geschäftsführer oder Vorstand)
	2.	Kontaktdaten des Verantwortlichen
	3.	Datenschutzbeauftragter soweit erforderlich
	4.	Kontaktdaten des Datenschutzbeauftragten
	5.	Zweck der Datenverarbeitung
	6.	Rechtsgrundlage jeder Datenverarbeitung (jeweils speziell zugeordnet)
	7.	bei Verarbeitung wg. berechtigter Interessen (zB Gefahrenabwehr) dieses Interesse
	8.	Empfänger der Daten (nicht bei Auftragsverarbeitung – denn das ist Verarbeitung des Betreibers selbst)
	9.	Übermittlung in ein Drittland und Bestehen eines Angemessenheitsbeschlusses oder der sonstigen Grundlage für den Export der Daten
	10.	Speicherdauer wenigstens bestimmbar
	11.	Hinweis auf Auskunftsrecht
	12.	Hinweis auf das Recht auf Berichtigung
	13.	Hinweis auf Recht auf Löschung oder Einschränkung
	14.	Hinweis auf Recht auf Widerspruch
	15.	Hinweis auf Recht auf Datenübertragung
	16.	Hinweis auf Recht, die Einwilligung zu widerrufen
	17.	Hinweis auf Beschwerderecht bei einer Aufsichtsbehörde
	18.	Aufklärung, ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben ist und ggf. Konsequenzen der Nichtbereitstellung der Daten
	19.	ob eine automatisierte Entscheidungsfindung oder Profiling erfolgt und wenn ja, die involvierte Logik
	20.	in klarer Form und einfacher Sprache

VII. Was passiert, wenn sich das Recht ändert?

Du musst Deine Datenschutzerklärung immer aktuell halten. Vielleicht erinnerst Du Dich noch an den Mai 2018. Zum Stichtag mussten alle Websites der neuen DSGVO angepasst sein. Das hat  die meisten Website Betreiber viel Zeit, Geld und Nerven gekostet.

Ändern sich die rechtlichen Vorschriften, musst Du Deine Datenschutzerklärung an die Änderungen anpassen. Gleichgültig ist, ob das durch ein neues Gesetz oder ein neues Urteil geschehen ist. Jeweils musst Du eine richtige Datenschutzerklärung verwenden. Mit easyRechtssicher geht das ganz einfach, mit unserem kostenlosen Info-Service (den Du im Footer dieser Seite abonnieren kannst), unterrichten wir Dich immer über solche Änderungen.

 

 

Noch einfach geht es mit dem easyRechtssicher Komplett Schutz. Unser Datenschutz Generator liefert Dir eine Datenschutzerklärung, die auf Wunsch  von uns immer aktuell gehalten wird.

VIII. Was droht bei falscher Datenschutzerklärung?

1. Kann ich ein Bußgeld von der Datenschutzbehörde bekommen?

Die Datenschutzgrundverordnung schützt die Privatsphäre des Einzelnen. Verstöße gegen die DSGVO werden mit einem Bußgeld geahndet.

 

 

2. Kann ich von Nutzern der Website abgemahnt werden?

Ebenso kann, wer von einem Verstoss gegen den Datenschutz auf einer Website betroffen ist, eine Abmahnung aussprechen, Unterlassung und Schadensersatz fordern. So weit so klar.

Wie weit das gehen kann, zeigt ein Fall vor dem Amtsgericht Dietz. Hier hatte eine Person (die zufällig natürlich ein Anwalt war) einen Newsletter ohne ordnungsgemäßen Double Opt In erhalten und den Website Betreiber auf Unterlassung und sogar ein Schmerzensgeld wegen der einen E-Mail verklagt. Er bekam – wenn auch nur mit einem Betrag von 50 Euro – recht. Aber einige Besucher mal 50 Euro am Tag summieren sich schnell zu sehr unangenehmen Beträgen.

Man kann zwar bezweifeln, ob man wegen einer E-Mail bereits ein Schmerzensgeld zusprechen muss, aber wenn sich das verbreitet, kann die Nichteinhaltung der DSGVO noch unangenehmer werden, als es ohnehin bereits ist.

 

3. Kann ich von Konkurrenten der Website abgemahnt werden?

Streitig war aber bisher, ob die Datenschutzgrundverordnung auch dazu dient, den Wettbewerb zu schützen. Dann könnten nämlich auch Abmahnvereine und Konkurrenten eine Abmahnung aussprechen. Das Landgericht Würzburg hat mit Beschluss vom 13.09.2018 nunmehr in einem frühen Urteil zur DSGVO genau dies angenommen. Damit sind die Schleusen für massenhafte Abmahnungen geöffnet.

 

a) Ein mißgünstiger Konkurrent reicht – schon abgemahnt

Der Fall des Landgerichts Würzburg zeigt, wie schnell das gehen kann:

Ausgerechnet eine Anwältin hat es mit der DSGVO nicht so genau genommen. Ihre Datenschutzerklärung bestand nur aus sieben Zeilen im Impressum. Es fehlten Angaben

• zum Verantwortlichen,
• zur Erhebung und Speicherung personenbezogener Daten,
• zu Art und Zweck der Verwendung der Daten,
• zur Weitergabe der Daten an Dritte,
• zu Cookies,
• zu Analysetools,
• zu den Rechten der Betroffenen,
• zum Widerrufsrecht bei Einwilligung
• zum Beschwerderecht.

Das alles (und noch mehr) muss in einer Datenschutzerkärung nach der Datenschutzgrundverordnung aber enthalten sein, damit die Datenschutzerklärung nicht abgemahnt werden kann.

Ein Konkurrent nutzte die Gelegenheit, der Kollegin eins auszuwischen und erteilte eine Abmahnung, in der er Unterlassung und eine strafbewehrte Unterlassungserklärung forderte. Die Anwältin verteidigte sich vergeblich mit dem Argument, dass die Datenschutzerklärung nur die Betroffenen schützt, nicht aber den Wettbewerb und deshalb nach dem Gesetz gegen den unlauteren Wettbewerb (UWG) nicht von Konkurrenten abgemahnt werden könne.

 

b) Die wettbewerbliche Abmahnung durch Konkurrenten

Das Landgericht Würzburg nahm dennoch eine Wettbewerbsverletzung durch die nicht der DSGVO entsprechende Datenschutzerklärung an!

Grund dafür ist eine weite Auslegung von § 3a UWG durch die Rechtsprechung. Danach ist es wettbewerbsrechtlich unzulässig, sich durch Rechtsbruch einen Vorteil vor Mitbewerbern zu verschaffen, wenn dadurch die Interessen der anderen Marktteilnehmer spürbar beeinträchtigt werden.

aa) Rechtsbruch durch Verstoß gegen DSGVO

Ein Rechtsbruch ist nach Rechtsprechung im Grundsatz jede Nichteinhaltung eines Gesetzes. Die Nichtbeachtung der DSGVO ist danach ein Rechtsbruch.

 

bb) Spürbare Beeinträchtigung durch falsche Datenschutzerklärung?

Nicht jeder Rechtsbruch fällt jedoch unter § 3a UWG. Weiter ist erforderlich, dass durch den Rechtsbruch die Interessen der anderen Marktteilnehmer spürbar beeinträchtigt werden? Doch grade dieses eingrenzende Merkmal wird von der Rechtsprechung weit ausgelegt.

Zu Recht war z.B. unter Juristen lange umstritten, ob eine fehlende Datenschutzerklärung als Rechtsbruch abgemahnt werden kann. Da die Datenschutzerklärung mit dem eigentlichen Vertragsschluss nichts zu tun hat und im Zweifel vom Kunden ohnehin nicht zur Kenntnis genommen wird, ließ sich mit guten Gründen bestreiten, dass durch eine fehlende Datenschutzerklärung die Kunden oder auch andere Marktteilnehmer spürbar beeinträchtigt werden.

Dennoch ist das Landgericht Würzburg in Anknüpfung an vorhergehende Urteile dieser Auffassung und nimmt bei einer falschen Datenschutzerklärung einen Rechtsbruch nach § 3a UWG an.

In der Konsequenz wurde die Abmahnung des konkurrierenden Anwalts bestätigt und sein Anspruch auf Erstattung der Abmahn- und Prozesskosten angenommen und die Anwältin mit der falschen Datenschutzerklärung zu einer Unterlassung unter Androhung von Ordnungsgeld, ersatzweise Ordnungshaft, verurteilt.

c) Abmahnung durch Abmahnvereine

Das OLG Stuttgart hat mit Urteil vom 27.2.2020, Az.: 2 U 257/19 jetzt auch Abmahnvereinen gestattet, eine unzureichende Datenschutzerklärung abzumahnen. Das gilt für alle Arten von Internet-Auftritten, also sowohl auf der eigenen Website als auch auf  Handelsplattformen (z.B. Amazon oder Ebay) sowie Social Media (z. B. Facebook, Instagram, Twitter, Xing, Linkedin).

4. Streitfrage nicht abschließend entschieden

Mit dem Beschluss des Landgerichts Würzburg ist das letzte Wort über eine wettbewerbliche Abmahnung von Datenschutzverstößen noch nicht gesprochen. Nach wie vor bleibt die Meinung im juristischen Schrifttum gespalten. Auch die Gerichte entschieden unterschiedlich, das LG Bochum hat dagegen entschieden, dass ein Verstoß gegen die DSGVO nicht von Mitbewerbern abgemahnt werden kann. Es bleibt damit abzuwarten, wie sich ein Obergericht dazu stellt, habe ich noch letzte Woche an dieser Stelle geschrieben, jetzt ist es bereits erfolgt: Das OLG Hamburg hat sich mit dem Landgericht Würzburg für die Abmahnbarkeit ausgesprochen. Nach dem ersten Obergericht können fehlerhafte Datenschutzerklärungen also auch von Konkurrenten abgemahnt werden.

Bis es aber soweit ist, muss aus der Entscheidung ganz klar die Botschaft entnommen werden, dass Verstöße gegen die DSGVO nicht nur durch Betroffene, sondern über § 3a UWG auch von Konkurrenten und damit eben auch den allgegenwärtigen Abmahnvereinen abgemahnt werden können. Zumindest bis zum Landgericht wird man stark mit einem Unterliegen rechnen müssen, wenn man derart abgemahnt wird.

Jedenfalls gibt es bereits wenigstens einen Abmahnverein, den IDO Interessenverband, der fehlende Datenschutzerklärungen abmahnt. Dieser Verband geht also offenbar davon aus, mit entsprechenden einstweiligen Verfügungen durch zu kommen.

Der dringende Rat kann daher nur sein, seine Datenschutzerklärung

• richtig zu erstellen und
• richtig jeweils an Änderungen des Rechts anzupassen

Dies ist mit unserem Plugin und unserem Datenschutz Generator unschwer möglich.

 

    Zum Komplett Schutz mit Datenschutz Generator   

 

Wir sorgen dann automatisch oder durch eine Mail für eine Aktualisierung Deiner Datenschutzerklärung. (Nur) Dann kannst Du nicht wie die Anwältin vor dem Landgericht Würzburg verurteilt werden, weil ein Konkurrent sich an Deinem Erfolg stört oder gar ein Abmahnverein noch eine Einnahmequelle sucht.

IX. Wer erstellt eine Datenschutzerklärung?

Der einfachste Weg zu einer Datenschutzerklärung ist der Komplett Schutz von easyRechtssicher. Hier bekommst Du eine immer aktuelle Datenschutzerklärung mit unserem Datenschutz Generator:

 

Datenschutz Generator  

---

 

Dr. Ronald Kandelhard, Rechtsanwalt und Mediator, Fachanwalt für Handels- und Gesellschaftsrecht. Ronald war lange Zeit an der Universität, in der Rechtsberatung von Staaten und als Rechtsanwalt tätig. Jetzt entwickelt er mit seinem Startup Paragraf7 automatisierte Lösungen für rechtliche Probleme von Unternehmen.